この記事の要点
- SPFは送ってよいサーバーを、DKIMはメールに付けた電子署名を確かめ、DMARCはその結果と差出人のドメインの一致をもとに、合格しないメールの扱いを決めます。
- GmailとYahooは2024年2月から、大量に送る送信者にSPF・DKIM・DMARCの設定を求めており、DMARCのポリシーはnoneでもよいとしています。
- 送信元をすべて洗い出してからSPFとDKIMを整え、DMARCは監視（none）から始めてレポートを見ながら段階的に強めるのが安全な進め方です。
SPF・DKIM・DMARCは、メールの差出人に自社のドメインを名乗る偽のメールを、受け取る側のメールのサービスが見分けられるようにする仕組みです。3つは役割が違い、組み合わせて使います。自社の社員や取引先、顧客を守るためにも、自社から送るメールを確実に届けるためにも、設定しておくことが望ましいと考えられます。
なぜ、メールの認証が要るのですか
メールの仕組みでは、差出人のアドレスを自由に書けるため、何もしなければ、誰でも自社のドメインを名乗ってメールを送れてしまいます。メールの認証は、そのメールが本当にそのドメインの持ち主が認めた方法で送られたかを、受け取る側が確かめるための仕組みです。
国内では、経済産業省・警察庁・総務省が2023年2月1日に、クレジットカード会社などに対して、利用者向けに公開するすべてのドメイン名（メールを送らないドメイン名を含む）にDMARCを導入し、受け取る側でなりすましメールの受信を拒否するポリシーで運用するよう要請しています。
出典：クレジットカード会社等に対するフィッシング対策の強化を要請しました（経済産業省、2023年2月1日）
なりすましのメールは、フィッシングやビジネスメール詐欺に使われます。社員を守る手順は、ビジネスメール詐欺（BEC）を防ぐ社内の手順で説明しています。
3つの仕組みの役割
SPFは送ってよいサーバーを確かめ、DKIMはメールに付けた電子署名を確かめ、DMARCはその2つの結果と差出人のドメインの一致をもとに、合格しないメールの扱いを決めます。
SPF
SPFとは、自社のドメインのメールを送ってよいサーバーの一覧を、DNS（ドメインの情報を公開する仕組み）に書いておき、受け取る側が送ってきたサーバーと照らし合わせる仕組みです。メールの配信サービスや、問い合わせのフォームから自動で送るサーバーなど、自社のドメインで送るすべての送信元を含める必要があります。
DKIM
DKIMとは、送る側がメールに電子署名を付け、受け取る側がDNSに公開された鍵で署名を確かめる仕組みです。署名が確かめられれば、そのドメインの管理のもとで送られ、途中で書き換えられていないことが分かります。
DMARC
DMARCとは、SPFやDKIMの結果と、受け取った人に表示される差出人（From）のドメインが一致しているかをもとに、合格しなかったメールをどう扱ってほしいかを、ドメインの持ち主が宣言する仕組みです。扱いの指定（ポリシー）には、何もしない（none）、迷惑メールのフォルダに入れる（quarantine）、受け取らない（reject）の3つがあります。受け取る側から、認証の結果をまとめたレポートを受け取ることもできます。
GmailとYahooの送信者の要件
GoogleとYahooは、2024年2月から、自社のメールのサービスに送るときの要件を適用しています（2026年11月時点の各社の案内による）。
| 項目 | すべての送信者 | 大量に送る送信者 |
|---|---|---|
| 認証 | SPFかDKIMのどちらか | SPFとDKIMの両方、DMARC（ポリシーはnoneでもよい） |
| 差出人のドメインの一致 | ― | From のドメインが、SPFかDKIMのドメインと一致する |
| 配信の停止 | ― | 宣伝や購読のメールは、ワンクリックでの配信停止に対応する |
| 迷惑メールの報告の割合 | 0.3%未満に保つ | 0.3%未満に保つ |
Googleは、Gmailの個人のアカウントに1日に5,000通を超えて送る送信者を、大量に送る送信者としています。
出典：メール送信者のガイドライン（Gmail ヘルプ）／Sender Best Practices（Yahoo Sender Hub）
大量に送っていない会社でも、取引先や顧客がこれらのサービスを使っていれば、認証が整っていないメールは迷惑メールと判断されやすくなります。届くべきメールを届けるためにも、設定を確かめておく意味があります。
設定の順番
設定は、送信元を洗い出す、SPFとDKIMを整える、DMARCを監視から始める、レポートを見て段階的に強める、の順で進めます。いきなり受け取らない設定（reject）にすると、洗い出し漏れの送信元から送った本物のメールまで届かなくなるおそれがあります。
- 送信元を洗い出す：社員のメール、メールの配信サービス、問い合わせのフォームや予約のシステム、請求書を送るサービスなど、自社のドメインで送っているものをすべて一覧にします
- SPFを整える：洗い出した送信元をSPFの記述にまとめます。SPFの記述は1つのドメインに1つだけにします
- DKIMを設定する：送信元ごとに、DKIMの署名を有効にし、鍵をDNSに登録します
- DMARCを監視（none）で始める：レポートの受け取り先を決め、ポリシーをnoneにして公開します
- レポートを見て強める：本物の送信元がすべて合格していることを確かめてから、quarantine、rejectへと段階的に強めます
メールを送らないドメインも、なりすましに使われないよう、送らないことを宣言する設定をしておくと安心です。
運用で気をつけること
設定した後も、新しいサービスを使い始めるたびに、送信元の追加が要るかを確かめます。営業や採用の部署が、情報システムの担当に知らせずにメールの配信サービスを使い始めると、その送信元のメールが認証に合格せず、届かなくなることがあります。
DMARCのレポートは、機械で読む形式で届くため、そのままでは読みにくいものです。レポートをまとめて表示するサービスを使うか、担当を決めて定期的に確かめます。なりすましのメールが送られていることに、レポートで気づける場合もあります。
メールの認証は、自社のドメインを名乗るなりすましを減らす仕組みです。似たドメインを取って送ってくる手口や、乗っ取られた本物のアカウントからのメールは防げないため、社員の訓練や多要素認証と組み合わせます。社員の訓練の考え方は、標的型攻撃メール・フィッシングへの備えと訓練で説明しています。
当社のご支援
アメリア・テクノロジーのセキュリティ診断と対策では、自社のドメインから送っているメールの洗い出し、SPF・DKIM・DMARCの設定の確認、レポートの見方づくりをご支援しています。問い合わせのフォームなど、システムから送るメールの設定は、Webシステム開発のチームと一緒に見直します。まずは無料のセキュリティの自己診断で、備えの状況を確かめることもできます。
- メールの認証
- DMARC
- なりすまし
- フィッシング
この記事に出てくる用語
このコラムは一般的な情報の提供を目的としたもので、個別の状況への助言ではありません。製品・サービスの名前と内容は、記事の更新日の時点のものです。